GRC nepilnības: prioritizējiet sekas aiz konstatējuma

Divas kontroles var abas šķist nepilnīgas, taču prasīt ļoti atšķirīgu rīcību. Vienai nav nesenu pierādījumu; otra ir ieviesta, bet praksē nedarbojas. Noderīgs nepilnību novērtējums saglabā šo atšķirību, nevis pārvērš katru konstatējumu vienādā novēršanas pieteikumā.

Vadībai galvenais jautājums nav, cik daudz nepilnību ir atvērtas. Galvenais ir tas, kuras biznesa sekas joprojām ir iespējamas, ko organizācija par tām zina un kam ir pilnvaras lemt par turpmāko rīcību. Audita termiņš ir svarīgs, taču tam nevajadzētu kļūt par vienīgo iemeslu, kāpēc konstatējumam tiek pievērsta uzmanība.

Praktiskais mērķis ir pamatota ķēde: novērotie fakti, skartā prasība un kontrole, biznesa apdraudējums, apstrādes lēmums un pārbaudīta slēgšana. Šī ķēde padara budžeta diskusijas konkrētākas un neļauj sakārtotam atbilstības informācijas panelim slēpt neatrisinātas darbības problēmas.

Noskaidrojiet, kas patiesībā trūkst

Sāciet, nošķirot dokumentācijas, ieviešanas, efektivitātes un piemērojamības jautājumus. Šīs kategorijas apraksta dažādas problēmas, un tām nepieciešami dažādi pierādījumi.

Trūkstošs piekļuves pārskatīšanas eksports nozīmē, ka apgalvojums ir jāizpēta. Apstiprināts bijušais darbinieks ar aktīvu piekļuvi apliecina ieviešanas problēmu. Pabeigta pārskatīšana, kurā atkārtoti tiek apstiprinātas nepiemērotas privilēģijas, norāda uz efektivitātes problēmu. Nepārvērtiet automātiski katru trūkstošu dokumentu par pierādītu drošības kļūmi un neuzskatiet to arī par nekaitīgu formalitāti.

Katrā konstatējumā būtu jāreģistrē prasība, skartais pakalpojums vai sistēma, novērojuma datums, novērotie fakti, avots un nenoteiktība. Nošķiriet tādus apgalvojumus kā „pārskatīšanas ieraksts netika iesniegts” no tādiem secinājumiem kā „pārskatīšana nenotika”. Norīkojiet izpētes īpašnieku, ja pieejamie fakti nevar pamatot secinājumu.

Arī pierādījumiem ir robežas. Šodienas konfigurācijas ekrānuzņēmums nevar pierādīt, ka konfigurācija darbojās visā iepriekšējā ceturksnī. Politika apraksta sagaidāmo rīcību; tā nepierāda, ka cilvēki to ievēroja. Ja vēsturiskos pierādījumus nevar atgūt, norādiet šo ierobežojumu, nevis veidojiet retrospektīvu ierakstu, kas izskatās kā tā laika ieraksts.

Šīs atšķirības aizsargā lēmumu kvalitāti. Vadība var apstiprināt steidzamu izpēti, nepaziņojot par drošības pārkāpumu, un tā var pieprasīt tūlītēju ierobežošanu, ja patiesa darbības kļūme jau ir konstatēta.

Sasaistiet konstatējumus, riskus un izņēmumus, tos nesajaucot

Konstatējums apraksta novērotu stāvokli. Risks apraksta iespējamas sekas noteiktos apstākļos. Izņēmums reģistrē atļautu atkāpi no iekšējas prasības, parasti uz noteiktu laiku. Tie ir saistīti, taču nav savstarpēji aizstājami.

Piemēram, neatbalstīta lietotne ir konstatējums. Neatļauta piekļuve caur neizlabotu ievainojamību, kas izraisa pakalpojuma traucējumus vai klientu informācijas izpaušanu, ir riska scenārijs. Atļauja turpināt lietotnes darbību, kamēr tiek ieviesta aizstājēja sistēma, ir izņēmuma lēmums.

Padariet šīs attiecības skaidras:

• Sasaistiet konstatējumu ar kontroli un prasību, ko tas ietekmē.
• Aprakstiet apdraudēto biznesa pakalpojumu, informāciju un cilvēkus.
• Attiecīgā gadījumā sasaistiet to ar esošu riska scenāriju.
• Reģistrējiet jebkuru pagaidu izņēmumu atsevišķi no novēršanas darba.

Vairāki konstatējumi var ietekmēt vienu risku, un viens konstatējums var ietekmēt vairākus riskus. Neveidojiet neatkarīgu riska ierakstu katram trūkstošam pielikumam. Un otrādi: neslēpiet nozīmīgu darbības kļūmi pierādījumu vākšanas uzdevumā.

Problēma var ierosināt arī incidenta novērtēšanu. Ja ir aizdomas par aktīvu ļaunprātīgu izmantošanu, datu zudumu vai pakalpojuma traucējumiem, nekavējoties virziet šo jautājumu caur incidentu procesu. Ikdienas nepilnību pārvaldība nedrīkst aizkavēt ierobežošanu vai iespējami piemērojamu paziņošanas pienākumu.

Prioritizējiet sekas, pēc tam ņemiet vērā termiņu

Prioritātei būtu jāizskaidro, kāpēc rīcība ir svarīga tagad. Ar „augsts smagums” vien nepietiek, lai budžeta īpašnieks varētu izvēlēties starp novēršanas projektiem.

Novērtējiet šādas dimensijas, izmantojot pieejamos faktus:

• Sekas: Kurus klientus, darbības, datus vai personas tas varētu ietekmēt? Vai kļūme varētu pārtraukt kritisku pakalpojumu vai apdraudēt līgumiskas saistības?
• Apdraudējums: Vai pastāv ticams kaitējuma ceļš? Ņemiet vērā sasniedzamību no ārpuses, privilēģijas, piekļuves ceļus un zināmu izmantošanu, nevis tikai ievainojamības esamību.
• Ilgums un plašums: Cik ilgi stāvoklis pastāv un vai tas ietekmē vienu sistēmu vai kopīgu atkarību?
• Pienākumi: Vai ir juridiskas, līgumiskas, ziņošanas vai pārliecības sekas? Reģistrējiet piemērojamo avotu un termiņu.
• Kompensējošie pasākumi: Kuri aizsardzības pasākumi pašlaik darbojas un kādi pierādījumi apliecina to efektivitāti?
• Pārliecība: Kuri secinājumi ir pierādīti un kuri balstās uz pieņēmumiem vai trūkstošu informāciju?

Izmantojiet konsekventu vērtēšanas metodi, taču saglabājiet pamatojumu līdzās vērtējumam. Zema pārliecība automātiski nenozīmē zemu prioritāti. Nepārbaudīta kontrole, kas aizsargā kritisku pakalpojumu, var pamatot steidzamu izpēti, jo pati nenoteiktība ir būtiska.

Kā praktisku rekomendāciju nošķiriet tūlītēju ierobežošanu, plānotu korektīvo darbību un pierādījumu izpēti. To steidzamībai jābūt atkarīgai no apdraudējuma, nevis no universāla dienu skaita. Definējiet vietējos eskalācijas ierosinātājus aizdomām par kompromitēšanu, atklātai priviliģētai piekļuvei, nespējai atjaunot kritiskus pakalpojumus un neizpildītiem pienākumiem.

Grupējiet saistītos konstatējumus, ja tiem ir kopīgs pamatcēlonis. Piecas neizdevušās aiziešanas pārbaudes piecās lietotnēs var liecināt par vienu bojātu pieņemšanas, pārcelšanas un aiziešanas procesu. Šī procesa salabošana var būt vērtīgāka nekā piecu izolētu pieteikumu slēgšana, lai gan katrs skartais konts joprojām ir jāizlabo.

Arī atkarības ietekmē secību. Atļauju pārveidošana var būt atkarīga no sistēmu uzskaites; piegādātāja nomaiņa var būt atkarīga no datu migrācijas. Reģistrējiet šīs atkarības atklāti. Nesamaziniet riska vērtējumu tikai tāpēc, ka novēršana ir sarežģīta vai dārga.

Meklējiet apdraudējumu, ko parastie audita saraksti nepamana

Vispārīgi riska saraksti ir pamudinājumi izpētei, nevis pierādījums, ka problēma pastāv jūsu organizācijā. Piecām jomām jāpievērš apzināta uzmanība, jo to sekas bieži sniedzas tālāk par konstatējumu, kas tās pirmoreiz atklāj.

Regulatīvās aklās zonas un neskaidra atbildība

Uzturiet pienākumu reģistru, kurā norādīta attiecīgā juridiskā persona, jurisdikcija, pakalpojums, organizatoriskā loma, prasība, īpašnieks un novērtējuma datums. Iekļaujiet gan līgumiskās saistības, gan tiesību aktos noteiktos pienākumus, vienlaikus nošķirot to avotus.

NIS2 gadījumā piemērojamība ir atkarīga no nozares, lieluma, pakalpojuma un iekļaušanas noteikumiem, un darbības pienākumi rodas ar nacionālās īstenošanas starpniecību. NIS2 20.–23. pants attiecas uz vadības uzraudzību, riska pārvaldības pasākumiem un ziņošanu par būtiskiem incidentiem. Vispārīga ietvaru sasaiste neaizstāj attiecīgo nacionālo noteikumu novērtēšanu.

Ja prasība ir palaista garām, izpētiet uzraudzības procesu: kas seko izmaiņām, kas lemj par piemērojamību un kas norīko ieviešanu? „Ar to nodarbojas juristi” nav pietiekami, ja neviens nevar nosaukt lēmumu, tā tvērumu vai īpašnieku.

Novecojuši pierādījumi un nepārbaudīta efektivitāte

Nošķiriet kontroles izstrādi, ieviešanu un darbību laika gaitā. Piekļuves procedūras, identitātes sistēmas iestatījumi, pārskatīšanas ieraksti un atrisināti izņēmumi atbild uz dažādiem jautājumiem.

NIS2 21. panta 2. punkta f) apakšpunkts ietver politikas un procedūras kiberdrošības riska pārvaldības pasākumu efektivitātes novērtēšanai. Līdzīgi VDAR 32. pants ietver procesu attiecīgo drošības pasākumu regulārai testēšanai, izvērtēšanai un novērtēšanai. Pienākumi ir atkarīgi no piemērojamības; neviens no tiem netiek izpildīts, vienkārši savācot vairāk PDF failu.

Kā praktisku pierādījumu standartu reģistrējiet testēto tvērumu, datumu vai periodu, metodi, rezultātu, pārskatītāju un neatrisinātās novirzes. Sekmīgs rezerves kopēšanas uzdevums nepierāda atjaunojamību. Atjaunošanas testam jāaplūko, vai attiecīgos datus un pakalpojumu faktiski var atjaunot atbilstoši organizācijas darbības pieņēmumiem.

Atkarības no piegādātājiem

Piegādātāja konstatējuma nozīmi nosaka atkarība, ko tas rada. Pajautājiet, kas notiks, ja pakalpojumu sniedzējs kļūs nepieejams, zaudēs datus, nomainīs apakšuzņēmēju vai nevarēs atbalstīt izmeklēšanu.

Uzturiet piegādātāja ierakstu ar pakalpojuma īpašnieku, kritiskumu, piekļuvi datiem, novērtējuma rezultātu, neatrisinātajiem nosacījumiem un nākamās pārskatīšanas datumu. Kritiskām atkarībām reģistrējiet arī incidentu kontaktpersonas, atjaunošanas pieņēmumus, izstāšanās ierobežojumus un pierādījumus, kas nepieciešami no piegādātāja.

Parakstīts datu apstrādes līgums nosaka pienākumus; tas nepierāda to izpildi. VDAR 28. pants prasa pārziņiem izmantot apstrādātājus, kas sniedz pietiekamas garantijas, un nosaka līgumiskās prasības. NIS2 21. panta 2. punkta d) apakšpunkts attiecīgā gadījumā aptver piegādes ķēdes drošību. Neviens no tiem nenozīmē, ka katra piegādātāja kļūme automātiski rada identisku atbildību katram klientam.

Pārskatiet pārliecības materiālu tvērumu, periodu, izņēmumus un atbilstību jūsu faktiskajam pakalpojumam. Piegādātāja atbildēm būtu jāatbalsta lēmums, nevis tikai jāaizpilda mape.

Ietvaru silosi un nekontrolētas izmaiņas

Viena kontrole var atbalstīt vairākas prasības, taču sasaiste ir daudzi pret daudziem un atkarīga no versijām un tvēruma. Kopīgs piekļuves pārskatīšanas process var samazināt dublējošu darbu, nepadarot juridiskos pienākumus līdzvērtīgus.

ISO/IEC 27001 attiecas uz informācijas drošības pārvaldības sistēmu ar definētu tvērumu. Sertifikācija pati par sevi neapliecina atbilstību VDAR vai NIS2. Saglabājiet ietvariem specifiskos pienākumus redzamus arī tad, ja kontroles un pierādījumi ir kopīgi.

Izpētiet pretrunīgas politikas, dublējošus konstatējumus un nekonsekventu atbildību kā iespējamas sadrumstalotas pārvaldības pazīmes. Izvērtējiet arī izmaiņas: iegāde, jauna ražošanas vide, ārpakalpojumā nodots pakalpojums vai datu migrācija var padarīt nederīgus pierādījumus, kas iepriekš bija pietiekami. Pieprasiet, lai būtiskas izmaiņas ierosinātu tvēruma, atbildības un kontroļu piemērojamības pārskatīšanu. Mūsu ceļvedis par ietvaru sasaisti izskaidro, kāpēc sasaistēm nepieciešams darbības konteksts.

MI rezultāti, kas pieņemti bez pārskatīšanas

MI ģenerēts atbilstības kopsavilkums var šķist pilnīgs, vienlaikus balstoties uz novecojušiem avotiem, nepareizu tvērumu vai nepamatotiem pieņēmumiem. Uzskatiet pieņemšanu bez pārskatīšanas par pārvaldības problēmu, jo īpaši, ja rezultāts atbalsta juridisku interpretāciju vai slēgšanas lēmumu.

Uzskaitiet MI lietošanas gadījumus, īpašniekus, pievienotos datus, atļaujas, paredzētos lēmumus un cilvēka pārskatīšanas punktus. Nošķiriet konsultatīvus rezultātus no sistēmām, kas var izpildīt darbības. Asistents, kas pievienots pastkastei, rada citu apdraudējumu nekā rīks, kas sagatavo publiskas politikas teksta melnrakstu.

MI akta pienākumi ir atkarīgi no lomas un lietošanas gadījuma. Eiropas Komisijas pašreizējais grafiks nošķir jau piemērojamos noteikumus no vēlākām augsta riska prasībām. Vēlāks augsta riska termiņš neatceļ esošos pienākumus vai VDAR pienākumus. Validējiet avotus un klasifikācijas, pirms paļaujaties uz MI ģenerētu novērtējumu.

Padariet izņēmumus par lēmumiem, nevis aizmirstiem pagarinājumiem

Dažreiz tūlītēja novēršana radītu lielāku darbības problēmu. Aizstāšanai var būt nepieciešama kontrolēta migrācija, vai piegādātāja maiņa var pārtraukt kritisku pakalpojumu. Izņēmums padara šo kompromisu skaidru; tas nepierāda, ka risks ir izzudis.

Praktiskā izņēmuma ierakstā būtu jāietver:

• Precīza iekšējā prasība un skartais tvērums.
• Atkāpes biznesa iemesls un izvērtētās alternatīvas.
• Riska scenārijs un atlikušais apdraudējums.
• Kompensējošie pasākumi, to īpašnieki un pamatojošie pierādījumi.
• Atbildīgais apstiprinātājs, pārskatīšanas datums un derīguma termiņš.
• Novēršanas plāns un ierosinātāji agrākai atkārtotai novērtēšanai.

Izmantojiet iespējamām sekām samērīgas apstiprināšanas pilnvaras. Personai, kas ievieš apkārtceļa risinājumu, nevajadzētu klusībā pieņemt visa uzņēmuma līmeņa risku vadības vārdā.

Iekšējs izņēmums nevar atcelt tiesību aktos noteiktu pienākumu vai grozīt līgumu ar klientu. Ja ierosinātā apstrāde ir pretrunā ar kādu no tiem, nodrošiniet atbilstošu juridisku vai līgumisku pārskatīšanu. „Vadība to pieņēma” neaizstāj šo analīzi.

Pagarināšanai jābūt jaunam lēmumam. Pieprasiet pierādījumus, ka aizsardzības pasākumi joprojām darbojas, skaidrojumu par nesasniegtajiem starpposma mērķiem un atjauninātu apdraudējuma novērtējumu. Atkārtoti pagarinājumi bieži atklāj nefinansētu atkarību vai lēmumu, no kura vadība ir izvairījusies.

Definējiet slēgšanu, pirms piešķirat uzdevumu

Norādiet tūlītējo labojumu, atbildīgo īpašnieku, izpildes termiņu, pamatcēloņa darbu un pierādījumus, kas nepieciešami rezultāta pārbaudei. Tie ir atsevišķi elementi: viena nepiemērota konta noņemšana nepierāda, ka aiziešanas process nākamreiz darbosies.

Vienojieties par slēgšanas kritērijiem, pirms darbs sākas. Pretējā gadījumā komandas var pabeigt uzticēto darbību, neatrisinot sākotnējo apdraudējumu.

Pārbaudei jābūt pietiekami neatkarīgai atbilstoši konstatējuma nozīmīgumam. Izmaiņām ar lielu ietekmi var būt nepieciešams pārskatītājs ārpus ieviešanas komandas; ikdienišķiem dokumentācijas labojumiem var pietikt ar vienkāršāku pārbaudi.

Saglabājiet sākotnējo novērojumu, korektīvos pierādījumus, pārbaudes rezultātu, atlikušos ierobežojumus un saistīto riska lēmumu. Nepārrakstiet vēsturi ar izlaboto stāvokli. Atkārtotiem konstatējumiem pēc ieviešanas pievienojiet papildu pārbaudi, lai noskaidrotu, vai pārveidotais process darbojas ikdienas darbībā.

Praktisks piemērs: trīs konstatējumi, trīs dažādi lēmumi

Šis piemērs ir ilustratīvs. Pieņemsim, ka programmatūras uzņēmumam ar 70 darbiniekiem ir ražošanas pakalpojums ar klientu informāciju, identitātes pakalpojumu sniedzējs un atbalsta lietotne, kas nav pilnībā savienota ar centralizēto aiziešanas procesu. Aktīva ļaunprātīga izmantošana nav konstatēta.

Pārskatīšanā tiek identificēti trīs konstatējumi:

1. Nav atrodams pēdējais ceturkšņa piekļuves pārskatīšanas eksports.
2. Bijušajam atbalsta darbiniekam joprojām ir aktīvs konts ar piekļuvi klientu ierakstiem.
3. Atbalsta piegādātāja pārliecības materiāli ir vecāki par nozīmīgām pakalpojuma izmaiņām.

Visu triju uzskatīšana par „trūkstošiem atbilstības pierādījumiem” slēptu apstiprināto piekļuves problēmu. Visu triju uzskatīšana par pierādītām drošības kļūmēm pārspīlētu to, kas ir zināms.

Piekļuves kontam tiek piemērota tūlītēja ierobežošana. Komanda to atspējo, pārbauda saistītās sesijas un akreditācijas datus un izvērtē, vai nepieciešama darbību pārskatīšana vai incidenta eskalācija. Slēgšanai nepieciešama atsauktas piekļuves pārbaude, nevis tikai aiziešanas pieteikuma pabeigšana.

Trūkstošajam eksportam tiek veikta laikā ierobežota izpēte. Īpašnieks meklē uzticamus pārskatīšanas ierakstus un pārbauda pašreizējās atļaujas. Ja vēsturisko darbību nevar pierādīt, šis ierobežojums paliek ierakstā. Jauna pārskatīšana var noteikt pašreizējo stāvokli, taču nevar ar atpakaļejošu datumu pierādīt, ka vecā pārskatīšana notika.

Piegādātāja konstatējums ierosina mainītā pakalpojuma atkārtotu novērtēšanu, jo īpaši tā piekļuvi klientu informācijai un atjaunošanas atkarības. Kamēr pierādījumi nav saņemti, uzņēmums izvērtē, vai esošie ierobežojumi pamato turpmāku izmantošanu. Jebkurai pagaidu atkāpei no piegādātāju politikas nepieciešams dokumentēts izņēmums; piemērojamie juridiskie pienākumi paliek atsevišķi.

Pamatcēloņa izpēte parāda, ka atbalsta lietotne tika pievienota, neatjauninot sistēmu uzskaiti un nenorīkojot aiziešanas procesa īpašnieku. Vadība finansē šī procesa labošanu un norīko atbildīgo par piegādātāju izmaiņu pārskatīšanu. Nākamajā pārskatīšanā izlase no turpmākajām aiziešanām pārbauda, vai izlabotais process darbojas. Trim konstatējumiem saglabājas atšķirīgi slēgšanas pierādījumi, vienlaikus tiem ir kopīgas attiecīgās pamatcēloņa darbības.

Sniedziet vadībai lēmumu skatu, ne tikai slēgšanas skaitu

Ziņojumos vadībai būtu jāparāda atvērtie apdraudējumi ar visnopietnākajām sekām, lēmumi, kas gaida pilnvaroto personu, neizdevušies kompensējošie pasākumi, izņēmumi, kuriem beidzas termiņš, un atkārtoti pamatcēloņi. Iekļaujiet pārliecību un atkarības, lai nenoteiktība būtu redzama.

Izsekojiet nokavētu apstrādi ar lielu ietekmi atsevišķi no ikdienas pierādījumu uzdevumiem. Noderīgi rādītāji ietver pārbaudītu slēgšanu, atkārtošanos, izņēmumu pagarinājumus un neatrisināto izpēšu vecumu. Pieaugošs slēgšanas skaits maz ko nozīmē, ja nozīmīgākais konstatējums paliek atvērts.

Katrai eskalācijai norādiet nepieciešamo lēmumu: apstiprināt resursus, atļaut pagaidu iekšēju izņēmumu, mainīt pakalpojuma tvērumu vai noraidīt turpmāku apdraudējumu. Reģistrējiet pamatojumu un pārskatīšanas datumu. Mūsu darbības riska reģistra ceļvedis sniedz plašāku kontekstu konstatējumu sasaistei ar apstrādes lēmumiem.

Sāciet ar pieciem nozīmīgiem konstatējumiem

Secani komandas var modelēt attiecīgās sistēmas un atkarības, sasaistīt pierādījumus ar prasībām un kontrolēm, norīkot īpašniekus un turpmākos uzdevumus un saglabāt pārskatīšanas komentārus un apstiprinājumus. Ar MI atbalstīti ieteikumi paliek melnraksta darbs cilvēka validācijai. Šī darba plūsma saglabā saikni starp nepilnību, to pamatojošajiem faktiem un pieņemto lēmumu.

Sāciet ar pieciem konstatējumiem ar vislielāko ietekmi. Pārbaudiet, vai katrā no tiem fakti ir nošķirti no nenoteiktības, identificēts biznesa apdraudējums, nosaukts atbildīgais īpašnieks un definēta izmērāma slēgšana. Atrisiniet neskaidras pieņemšanas pilnvaras un trūkstošās atkarības, pirms paplašināt šo darbu. Nākamajā pārskatīšanā būtu jānoskaidro, kas mainījās apdraudējumā, nevis tikai kuri uzdevumi atzīmēti kā pabeigti.